DLP & Veri Sızıntısı Önleme Çözümü

Veri sızıntısı önleme (DLP) projeleri çoğu kurumda bir mevzuat baskısıyla başlar: KVKK uyumu, ISO/IEC 27001 veri sınıflandırma kontrolü ya da sektörel denetim. Oysa bir DLP projesinin başarısı, satın alınan üründen çok veri sınıflandırma disiplinine bağlıdır. Bu sayfa; DLP, veri sınıflandırma/etiketleme ve tehdit istihbaratı entegrasyonunu şartname öncesinde araştıran bilgi işlem ve bilgi güvenliği (CISO) ekipleri için hazırlanmıştır.

Çözüm neyi kapsar?

Bütünleşik bir DLP çözümü, verinin üç durumunu (durağan, hareketli, kullanımdaki) üç dağıtım noktasında korur. Kritik nokta, bu katmanların tek bir sınıflandırma politikası ve merkezî olay yönetimiyle çalışmasıdır; aksi hâlde her kanal için ayrı kural yönetmek zorunda kalır, yanlış pozitiflerde boğulursunuz.

Veri sınıflandırma: DLP'nin temeli

DLP, ancak neyin hassas olduğunu bilirse çalışır. Sınıflandırma üç yöntemi birleştirir: içerik temelli (verinin kendisi), bağlam temelli (kaynak, kullanıcı, uygulama, hedef) ve kullanıcı temelli (manuel etiketleme). İçerik tespiti için tipik teknikler; düzenli ifade (regex) ile kalıp eşleme, sözlük/anahtar-kelime, Exact Data Match (EDM)ile kesin veri eşleme, parmak izi (fingerprinting/IDM) ile belge eşleme, makine öğrenmesi sınıflandırıcıları ve görüntülerdeki metin için OCR'dir.

Türkiye özelinde kritik olan, yerel PII kalıplarının doğru yakalanmasıdır: TC Kimlik No (11 hane + son hane doğrulama algoritması), IBAN(TR + 24 hane), kredi kartı (Luhn sağlama algoritması). Salt regex, kart numarasına benzeyen her 16 haneyi işaretleyip yanlış pozitif üretir; Luhn doğrulaması bu gürültüyü keser. Bir DLP şartnamesinde "Türkçe içerik ve yerel PII (TC Kimlik No, IBAN) desteği" açıkça istenmelidir.

Tehdit istihbaratı ve davranış analitiğiyle zenginleştirme

Tek başına DLP çok sayıda uyarı üretir; asıl değer, bu uyarıların tehdit istihbaratı (threat intelligence) ve davranış analitiğiyle önceliklendirilmesindedir. IOC/itibar beslemeleri (bilinen kötü niyetli alan adları, C2 sunucuları) bir dışa aktarımın hedefini değerlendirir; UEBA (kullanıcı ve varlık davranış analitiği) ise normalden sapmayı — örneğin bir çalışanın işten ayrılmadan önce olağan dışı hacimde belge indirmesini — yakalar. MITRE ATT&CK çerçevesinde bu, Collection (TA0009) ve Exfiltration (TA0010) taktiklerine karşılık gelir. DLP olaylarının SIEM'e aktarılıp SOAR ile otomatik yanıtlanması (hesabı askıya al, oturumu sonlandır), tespitten müdahaleye süreyi kısaltır.

Sektör raporlarına göre veri ihlallerinin küresel ortalama maliyeti yaklaşık 4,9 milyon USD (2024, örnek değer) düzeyindedir ve ihlallerin önemli bölümü e-posta, web yükleme ve USB gibi DLP'nin doğrudan kapsadığı kanallardan gerçekleşir. Yapay zekânın bu tabloyu nasıl değiştirdiğini siber güvenlikte yapay zeka yazımızda veriyle ele alıyoruz.

Teknik şartnamede dikkat edilecekler

• Standartlar: ISO/IEC 27001 A.5.12 (veri sınıflandırma) ve A.8.12 (veri sızıntısı önleme), NIST CSF PR.DS (Data Security), MITRE ATT&CK Exfiltration kapsamı ve OWASP hassas veri açığa çıkma senaryoları referans alınmalı.
• Entegrasyon: SIEM/SOAR, CASB, dizin (AD/LDAP) ve e-posta ağ geçidi ile API üzerinden entegrasyon zorunlu madde olmalı — böylece DLP izole bir ada olmaktan çıkar.
• Veri sahipliği ve dışa aktarım: Sınıflandırma politikalarının, olay kayıtlarının ve etiket meta verisinin standart/açık formatta dışa aktarılabilmesi (CSV, syslog/CEF, API) şart koşulmalı; bu, vendor lock-in'e karşı en somut önlemdir.
• SLA ve performans: Olay tespit/müdahale süreleri (MTTD/MTTR), 7/24 destek, ajan kaynak tüketimi ve SSL açımının getirdiği gecikme ölçülebilir eşiklerle tanımlanmalı.
• Mevzuat: KVKK (özel nitelikli veri, 72 saatte ihlal bildirimi) ve 5651 kapsamındaki log/olay verisinin yurt içinde saklanması; hazır KVKK/PCI-DSS/ISO politika şablonları istenmeli.
• Yönetim modu: İzleme (monitor) ve engelleme (block) modları arasında kademeli geçiş, istisna yönetimi ve rol bazlı raporlama desteklenmeli.

Seçim kriterleri

• Kanal kapsamı: Endpoint + ağ + bulut + depolama keşfini tek konsolda yönetebiliyor mu?
• Yerel içerik: Türkçe metin ve yerel PII (TC Kimlik No, IBAN, kart Luhn) doğruluğu.
• Tespit doğruluğu: EDM/parmak izi/ML desteği ve ölçülen yanlış pozitif oranı.
• Ekosistem uyumu: Microsoft Purview/AIP etiketleri, AD, mevcut SIEM ile sorunsuz çalışma.
• Operasyon: Ajan performansı, ölçeklenebilirlik, raporlama olgunluğu ve devreye alma (monitor→block) yol haritası.
• Toplam sahip olma maliyeti: Lisans + ajan yönetimi + tuning eforu + destek birlikte değerlendirilmeli.

Bütçe gerekçelendirme (örnek hesap): Yıllık beklenen kayıp ALE = SLE × ARO ile tahmin edilir. Bir ihlalde 50.000 kişisel veri kaydının riske girdiğini ve kayıt başı maliyetin örnek olarak yaklaşık 150 USD olduğunu varsayalım: tekil kayıp SLE ≈ 7,5 milyon USD; yıllık gerçekleşme olasılığı (ARO) 0,2 alınırsa ALE ≈ 1,5 milyon USD/yıl. DLP yatırımının bu beklenen kaybı ne kadar düşürdüğü, geri dönüşün (ROI) temel ölçüsüdür (rakamlar yalnızca yöntemi göstermek içindir).

Kurumunuzun veri akışını ve mevcut sınıflandırma olgunluğunu birlikte değerlendirip, önceliklendirilmiş bir DLP yol haritası ve şartname taslağı çıkaralım. Aşağıdaki formdan ihtiyacınızı iletmeniz yeterli.